Certificazione ISO 42001

Chi arriva su questa pagina ha davanti di solito uno di tre fogli: un questionario di qualifica fornitori che chiede «certificazione ISO 42001», un capitolato di gara in cui l'intelligenza artificiale è entrata fra i requisiti tecnici, oppure una comunicazione interna che dice «dobbiamo metterci in regola con il regolamento europeo sull'IA».

Sono tre domande diverse con tre risposte diverse. La ISO/IEC 42001 è la prima norma internazionale certificabile sui sistemi di gestione per l'intelligenza artificiale, ed è uno strumento serio: mette ordine nel modo in cui un'organizzazione decide, documenta e controlla ciò che fa con l'IA. Non è però la conformità al regolamento europeo, e chi ve la vende come tale vi sta preparando una brutta sorpresa.

Che cosa facciamo, in concreto

Vi portiamo dal punto in cui siete al certificato, e su questo schema la prima cosa che facciamo è l’inventario dei sistemi di intelligenza artificiale che avete davvero, compresi quelli comprati dentro altri software e quelli che nessuno chiama così. È da lì che nasce tutto: senza sapere che cosa usate e per che cosa, non si valuta niente. Poi si lavora sulla valutazione di impatto e sui controlli, tenendo l’occhio sul regolamento europeo, che è un obbligo e non lo sostituisce la certificazione. Non certifichiamo noi: il certificato lo rilascia un organismo accreditato. E prima di cominciare cerchiamo i bandi a fondo perduto e i contributi attivi: su digitalizzazione e intelligenza artificiale sono fra i più numerosi.

Che cos'è e che cosa certifica davvero

La ISO/IEC 42001 certifica un sistema di gestione, esattamente come la ISO 9001 certifica un sistema di gestione della qualità e la ISO/IEC 27001 uno di sicurezza delle informazioni. Non certifica un algoritmo, non certifica un modello, non dichiara che il vostro sistema di IA è «sicuro» o «imparziale». Dice che la vostra organizzazione ha un modo definito e verificabile di governare l'intelligenza artificiale: chi decide, su quali criteri, con quali controlli, con quali registrazioni e con quale riesame.

È una distinzione che sembra sottile e non lo è. L'AI Act regola il singolo sistema di IA come prodotto: valuta quel sistema, la sua classificazione di rischio, la sua documentazione tecnica, la sua marcatura. La ISO/IEC 42001 lavora un piano sopra, sull'organizzazione che quei sistemi li sviluppa, li acquista, li integra o li usa. Sono due strumenti che si incontrano ma non si sovrappongono: il certificato non risponde alle domande che il regolamento pone al prodotto.

Detto questo, un sistema di gestione certificato è l'impalcatura su cui gli obblighi del regolamento si reggono in piedi. Governance, ruoli assegnati, gestione del rischio, documentazione tenuta viva, tracciabilità delle decisioni, sorveglianza dopo la messa in servizio: sono le stesse cose che il regolamento chiede al fornitore di un sistema ad alto rischio. Chi ha già quell'impalcatura arriva alle scadenze con il lavoro fatto; chi non ce l'ha deve costruirla comunque, solo più in fretta e senza metodo.

L'edizione in vigore e la norma italiana

La ISO/IEC 42001:2023, prima edizione, è stata pubblicata il 18 dicembre 2023 con il titolo «Information technology — Artificial intelligence — Management system». È un documento di 51 pagine e si trova oggi nella fase di riesame sistematico che ISO applica periodicamente a tutte le norme.

In Italia il recepimento è la UNI CEI ISO/IEC 42001, adozione identica del testo internazionale, disponibile anche in lingua italiana: è la sigla che ACCREDIA richiama nei propri documenti sullo schema di accreditamento, ed è quella corretta da citare in un contratto o in un'offerta di gara.

Che cosa chiede la norma, punto per punto

La struttura è quella comune a tutte le norme sui sistemi di gestione, il che significa che chi ha già una ISO 9001 o una ISO/IEC 27001 riconosce l'impianto al primo sguardo. Le clausole dalla 4 alla 10 contengono i requisiti veri, quelli su cui si viene verificati.

• Contesto (4). Che cosa fa la vostra organizzazione con l'IA, quali parti interessate ne sono toccate e soprattutto in quale ruolo vi trovate: chi sviluppa un sistema, chi lo mette sul mercato, chi lo integra in un proprio prodotto e chi lo usa e basta hanno responsabilità diverse. È qui che si definisce il campo di applicazione, ed è qui che si decide metà del progetto.
• Leadership (5). Una politica sull'intelligenza artificiale approvata dalla direzione, che dica che cosa l'organizzazione considera un uso accettabile dell'IA e che cosa no, con ruoli e responsabilità assegnati per iscritto.
• Pianificazione (6). La valutazione del rischio legato all'IA e, accanto a essa, la valutazione d'impatto dei sistemi di IA sulle persone, sui gruppi e sulla società. È la parte che distingue questa norma da tutte le altre: non si guarda solo al danno che l'organizzazione può subire, ma a quello che può causare.
• Supporto (7). Competenze, consapevolezza, comunicazione e informazioni documentate. Chi valuta un modello deve saperlo fare, e questo va dimostrato.
• Attività operative (8). La gestione del ciclo di vita del sistema: progettazione, dati, addestramento, verifica, rilascio, esercizio, modifica, ritiro, ogni passaggio con criteri e registrazioni.
• Valutazione delle prestazioni (9) e miglioramento (10). Monitoraggio, misurazione, audit interno, riesame di direzione, non conformità e azioni correttive.

Ai requisiti si affianca l'Allegato A, che raccoglie i controlli di riferimento in nove aree, dalla A.2 alla A.10: politiche relative all'IA, organizzazione interna, risorse, valutazione degli impatti, ciclo di vita, dati per i sistemi di IA, informazioni per le parti interessate, uso dei sistemi, rapporti con terze parti e clienti. Funziona come l'Allegato A della 27001: per ogni controllo si decide se è applicabile, si spiega perché e si produce l'evidenza.

Gli allegati successivi non contengono requisiti ma sono i più usati in attuazione: il B dà la guida applicativa controllo per controllo, il C elenca obiettivi e fonti di rischio dell'IA, il D spiega come calare il sistema su domini e settori diversi.

ISO/IEC 42001 e AI Act: che cosa copre l'una, che cosa impone l'altro

È il confronto da cui dipende ogni decisione di spesa su questo tema, e vale la pena metterlo in tabella.

Letta la tabella, la domanda giusta smette di essere «la 42001 mi mette a posto?» e diventa «che cosa mi risparmia?». La norma vi obbliga a fare, in modo ordinato e verificato da un terzo, buona parte del lavoro che il regolamento vi chiederà comunque di aver fatto: censire i sistemi di IA che avete in casa, sapere in che ruolo li usate, valutarne l'impatto, tenere una documentazione che non si sfalda alla prima domanda, sorvegliarli dopo il rilascio. Non è una scorciatoia normativa: è il modo per arrivare alle scadenze con la casa in ordine.

Il calendario dell'AI Act, aggiornato all'agosto 2026

È il punto su cui girano più informazioni scadute, perché il calendario originale è stato modificato: il Regolamento (UE) 2026/1744 dell'8 luglio 2026, l'«Omnibus digitale sull'IA», in vigore dal 27 luglio 2026, ha rinviato una parte degli obblighi sui sistemi ad alto rischio. Che cosa vale davvero, oggi:

• 2 febbraio 2025 — già in vigore. Divieto delle pratiche di IA a rischio inaccettabile e obbligo di alfabetizzazione in materia di IA (articolo 4): chi si occupa di sistemi di IA deve avere un livello di competenza adeguato. Riguarda anche le aziende piccole, e viene sistematicamente ignorato.
• 2 agosto 2025 — già in vigore. Regole di governance e obblighi per i modelli di IA per finalità generali, con il relativo impianto sanzionatorio.
• 2 agosto 2026 — già in vigore. Applicazione generale del regolamento, comprese le regole di trasparenza: chi interagisce con un sistema di IA deve saperlo, e i contenuti generati o manipolati devono essere riconoscibili.
• 2 dicembre 2027 — rinviato. Obblighi sui sistemi ad alto rischio dell'Allegato III: biometria, infrastrutture critiche, istruzione, selezione del personale, servizi essenziali, giustizia, migrazione. La scadenza originaria era il 2 agosto 2026.
• 2 agosto 2028 — rinviato. Obblighi sui sistemi ad alto rischio che sono componenti di sicurezza di prodotti già regolamentati dall'Allegato I: macchine, ascensori, giocattoli. La scadenza originaria era il 2 agosto 2027.

Fornitore, deployer e la catena di responsabilità

L'AI Act distribuisce gli obblighi in base al ruolo, e il ruolo non lo sceglie l'azienda: discende da quello che fa. Il fornitore è chi sviluppa un sistema di IA, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio. Il deployer, l'utilizzatore, è chi usa un sistema di IA sotto la propria autorità, esclusa l'attività personale non professionale.

La trappola sta nel fatto che si può diventare fornitori senza accorgersene. Chi prende un modello di terzi, lo mette dietro il proprio marchio e lo offre ai clienti; chi modifica in modo sostanziale un sistema ad alto rischio; chi lo destina a una finalità diversa da quella prevista: sono tutte situazioni in cui la responsabilità del fornitore si sposta addosso. Molte aziende che si considerano semplici utilizzatrici, al censimento, scoprono di essere fornitrici su almeno un servizio. La ISO/IEC 42001 vi fa rispondere a questa domanda prima che ve la faccia un'autorità: il ruolo va dichiarato nel campo di applicazione, sistema per sistema.

Le norme armonizzate: a che punto siamo davvero

L'articolo 40 dell'AI Act prevede che chi si conforma a una norma armonizzata citata nella Gazzetta ufficiale dell'Unione europea goda della presunzione di conformità agli obblighi corrispondenti. È il meccanismo classico della legislazione europea di prodotto.

Il quadro, per l'IA, non è ancora chiuso, e lo diciamo così com'è. Il lavoro è affidato al comitato tecnico congiunto CEN-CLC/JTC 21 sulla base della richiesta di normazione della Commissione; nell'ottobre 2025 i comitati direttivi di CEN e CENELEC hanno adottato misure eccezionali per accelerare, con l'obiettivo di rendere disponibili le norme chiave entro la fine del 2026. Fra queste c'è il progetto prEN 18286 sul sistema di gestione della qualità a fini regolamentari dell'AI Act, pensato per dare presunzione di conformità sull'articolo 17, la cui inchiesta pubblica si è chiusa nel gennaio 2026.

La conseguenza pratica è duplice. Primo: oggi nessuna norma dà la presunzione di conformità all'AI Act, perché nessuna è ancora stata citata in Gazzetta. Secondo: la ISO/IEC 42001, norma internazionale nata fuori dal processo di armonizzazione europeo, non è il documento destinato a svolgere quel ruolo. I lavori europei prevedono però corrispondenze esplicite con la ISO 9001 e con la ISO/IEC 42001, perché chi ha già quei sistemi ne riusi l'impianto invece di rifarlo. Il lavoro fatto oggi non si butta: si riaggancia.

L'accreditamento in Italia

Qui la notizia è buona. In Italia lo schema di accreditamento per la certificazione dei sistemi di gestione dell'IA esiste ed è operativo: ACCREDIA lo ha disciplinato con la circolare tecnica DC n. 08/2026 del 19 febbraio 2026, che detta le disposizioni per l'accreditamento, in ambito sistemi di gestione, degli organismi che certificano a fronte della UNI CEI ISO/IEC 42001.

La norma di accreditamento è la UNI CEI EN ISO/IEC 17021-1, comune a tutti gli schemi di sistemi di gestione, integrata dai requisiti della ISO/IEC 42006:2025. Nel corso del 2026 i primi organismi hanno ottenuto l'accreditamento e sono stati rilasciati i primi certificati accreditati.

Gli obblighi di legge che la certificazione non sostituisce

È una norma volontaria: non sposta nessun obbligo. Vale la pena elencare i principali, perché sono quelli che vengono confusi con essa.

• Non sostituisce l'AI Act. Classificazione del sistema, documentazione tecnica, valutazione di conformità, registrazione, sorveglianza dopo l'immissione sul mercato, segnalazione degli incidenti gravi: restano in capo a voi, con o senza certificato.
• Non sostituisce il GDPR. Se il sistema tratta dati personali restano vostri il registro dei trattamenti, la base giuridica, l'informativa, la valutazione d'impatto quando ricorre, le garanzie sulle decisioni automatizzate e i contratti con i responsabili del trattamento. Sul tema abbiamo una pagina dedicata alla privacy e protezione dei dati.
• Non sostituisce la disciplina italiana. La legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, ha designato le autorità nazionali: l'Agenzia per l'Italia digitale come autorità di notifica e l'Agenzia per la cybersicurezza nazionale come autorità di vigilanza del mercato, facendo salve le competenze del Garante per la protezione dei dati personali.
• Non sostituisce gli obblighi di settore. Sanità, finanza, lavoro, infrastrutture critiche hanno discipline proprie che l'IA non sospende: se un modello entra in un processo regolato, il processo resta regolato come prima.

ISO/IEC 42001, 27001, 27701 e il GDPR

Chi ha già un sistema di gestione della sicurezza delle informazioni parte con un vantaggio reale. La ISO/IEC 27001 vi ha già dato l'impianto: contesto, valutazione del rischio, dichiarazione di applicabilità, audit interni, riesame di direzione, non conformità. Su quella base la ISO/IEC 42001 innesta ciò che è specifico dell'IA: valutazione d'impatto sulle persone, dati di addestramento, ciclo di vita del modello, trasparenza verso chi è toccato da una decisione automatizzata. I due sistemi si verificano bene insieme.

La ISO/IEC 27701:2025 è oggi una norma autonoma certificabile sul sistema di gestione della privacy delle informazioni: se i vostri sistemi di IA lavorano in modo intensivo su dati personali, è il complemento più solido alla 42001. Nessuna delle tre, però, vi certifica «conformi al GDPR»: la certificazione prevista dall'articolo 42 del Regolamento (UE) 2016/679 è un istituto giuridico distinto, e nessuna norma ISO lo è.

Chi la chiede, e perché

La domanda è cresciuta in fretta e arriva quasi tutta dal mercato, non dalla legge.

• Fornitori di software e società di servizi informatici. Chi vende una piattaforma con funzioni di IA se la sente chiedere nei questionari di sicurezza, sempre più spesso accanto alla ISO/IEC 27001. È il gruppo più numeroso.
• Aziende che integrano modelli di terzi. Chi costruisce il proprio prodotto sopra un modello altrui deve dimostrare di governare una catena che non controlla del tutto.
• Pubbliche amministrazioni ed enti. L'uso dell'IA nel settore pubblico è sotto osservazione: il sistema di gestione rende le scelte tracciabili e difendibili.
• Chi partecipa a gare in cui l'IA entra nel capitolato e chi è in un albo fornitori di un gruppo internazionale. Il certificato serve al momento della presentazione dell'offerta: chi ci pensa quando esce il bando è già fuori tempo.

Come si arriva al certificato

1. Ricerca di bandi e finanziamenti. Prima di ogni altra cosa verifichiamo, gratuitamente, quali bandi, contributi e forme di finanziamento a fondo perduto sono disponibili per il vostro progetto. Va fatto per primo perché può cambiare la convenienza dell'intera operazione, e perché molte scadenze non aspettano.
2. Censimento dei sistemi di IA. Quali avete davvero, chi li ha introdotti, che cosa decidono o suggeriscono, su quali dati lavorano. Nella maggior parte delle aziende questo elenco non esiste.
3. Ruolo e campo di applicazione. Fornitori, utilizzatori o entrambe le cose su sistemi diversi: qui si decide metà del costo e tutta la difendibilità del certificato.
4. Analisi delle differenze. Che cosa c'è già e che cosa manca rispetto alle clausole 4-10 e ai controlli dell'Allegato A.
5. Politica sull'IA e assegnazione dei ruoli. Il documento che dice che cosa è uso accettabile dell'IA, approvato da chi ha l'autorità per farlo rispettare.
6. Valutazione del rischio e d'impatto. Con un metodo scritto e riproducibile, non con un giudizio a sensazione.
7. Attuazione dei controlli e dichiarazione di applicabilità. Ogni controllo incluso o escluso con la sua giustificazione, e per ciascuno un'evidenza mostrabile.
8. Formazione e alfabetizzazione. Serve alla norma e assolve un obbligo di legge già in vigore: due risultati con un lavoro solo.
9. Audit interno e riesame di direzione, poi verifica di certificazione in due fasi con un organismo accreditato per questo schema.
10. Mantenimento. Ciclo di tre anni con sorveglianze annuali.

Sui tempi: per un'azienda di dimensioni medie con una ISO 9001 già attiva servono dai quattro ai sei mesi per arrivare alla verifica. Chi ha già una ISO/IEC 27001:2022 in esercizio si muove più in fretta, perché riusa impianto documentale, audit e riesame: conviene allora agganciare la certificazione dell'IA a una verifica già in calendario, decidendolo con qualche mese di anticipo.

Come si incastra con gli altri schemi

• ISO/IEC 27001 — la base naturale. Non è un prerequisito formale, ma chi ce l'ha parte con metà del lavoro fatto.
• ISO/IEC 27017 e 27018 — sicurezza e dati personali nei servizi cloud. Se i vostri modelli girano su infrastrutture di terzi, è l'altra metà della catena.
• ISO 22301 — continuità operativa. La domanda che arriva subito dopo «il vostro modello è affidabile?» è «e se smette di funzionare?».
• ISO/IEC 20000-1 — il sistema di gestione dei servizi informatici, per chi eroga l'IA come servizio gestito.
• ISO 9001 — l'impianto organizzativo di base, su cui la futura norma europea a supporto dell'AI Act costruisce il sistema di gestione della qualità.

Quanto costa la certificazione ISO/IEC 42001

Non esiste un listino, e chi vi dà una cifra al telefono senza aver visto nulla la sta indovinando. Il costo si compone di due voci separate: le giornate dell'organismo di certificazione, determinate da regole internazionali in funzione di complessità e dimensioni, e la consulenza, che dipende da quanto sistema di gestione esiste già.

Su questa norma pesano due variabili: quanti sistemi di IA entrano nel campo di applicazione e in quale ruolo. Certificare l'uso interno di due strumenti acquistati da terzi è un progetto; certificare lo sviluppo di sistemi propri messi sul mercato è un altro. La terza variabile è una ISO/IEC 27001 già attiva, che riduce sensibilmente il lavoro.

Come si forma quel numero, che cosa lo fa salire o scendere e come si sceglie l'organismo lo abbiamo scritto per esteso: quanto costa certificarsi.

Per la vostra situazione serve un numero vero: richiedete un preventivo indicando quali sistemi di IA usate o sviluppate, in che ruolo, le sedi, gli addetti e le certificazioni già attive. Prima di iniziare verifichiamo gratuitamente quali bandi e contributi sono aperti per il vostro progetto.

Come lavoriamo

La prima cosa che facciamo è il censimento, perché senza quello ogni preventivo è una scommessa. Capita quasi sempre di trovare più intelligenza artificiale di quanta l'azienda ne ricordi: strumenti introdotti da singoli uffici, funzioni comparse dentro software già in uso, servizi di terzi che nessuno ha mai classificato. Da lì esce il ruolo, e dal ruolo il perimetro reale del progetto.

La seconda è separare i due discorsi: che cosa è obbligo di legge e va affrontato comunque, e che cosa è scelta volontaria perché ve la chiede il mercato. Sono due decisioni economiche diverse: mescolarle è il modo più sicuro per spendere male.

Seguiamo questa materia anche dal lato della protezione dei dati, perché svolgiamo l'incarico di responsabile della protezione dei dati per più organizzazioni: è il punto di osservazione da cui si vedono i problemi veri dell'IA in azienda, che quasi sempre riguardano i dati di addestramento, le decisioni automatizzate e la trasparenza verso le persone. Curiamo che il campo di applicazione sia spendibile davanti a un committente, verifichiamo che l'organismo sia accreditato per questo schema e siamo presenti in verifica.

Gli errori che allungano i tempi

Sono sempre gli stessi quattro.

Fare l’inventario solo dei sistemi «ufficiali». L’intelligenza artificiale entra dentro strumenti già in uso: se non la censite, non la governate.

Confondere la certificazione con la conformità al regolamento. Sono due cose diverse, con obblighi e scadenze diverse: dirlo a un cliente è un rischio.

Dimenticare la supervisione umana. È il punto su cui si concentrano sia la norma sia il regolamento, ed è quello che le aziende documentano peggio.

Cercare i contributi a percorso avviato. I bandi hanno finestre e regole sull’avvio delle spese: chiederli dopo aver firmato significa quasi sempre perderli.

Dove operiamo

Lavoriamo dalle nostre quattro sedi — Milano, Bologna, Roma e Brescia — e seguiamo aziende in tutta Italia. È un lavoro quasi interamente da remoto, sui sistemi, sui contratti con i fornitori e sui processi decisionali. Gli incontri in presenza servono con chi usa gli strumenti ogni giorno, perché lì si scopre che cosa fanno davvero.

Domande frequenti

La certificazione ISO/IEC 42001 è obbligatoria?
No. È una norma tecnica volontaria: nessuna legge la impone. A imporre obblighi è il Regolamento (UE) 2024/1689, l'AI Act, che va rispettato anche senza certificato. La 42001 la chiedono clienti, capitolati di gara e albi fornitori.

Certificarmi ISO/IEC 42001 mi mette in regola con l'AI Act?
No, ed è la risposta più importante della pagina. La ISO/IEC 42001 non è una norma armonizzata ai sensi dell'articolo 40 e non dà presunzione di conformità. Aiuta molto su governance, gestione del rischio e documentazione, ma gli obblighi restano da assolvere uno per uno.

Quali obblighi dell'AI Act sono già in vigore ad agosto 2026?
Il divieto delle pratiche vietate e l'obbligo di alfabetizzazione in materia di IA dal 2 febbraio 2025; la governance e gli obblighi sui modelli per finalità generali dal 2 agosto 2025; l'applicazione generale e le regole di trasparenza dal 2 agosto 2026. Gli obblighi sui sistemi ad alto rischio dell'Allegato III sono stati rinviati al 2 dicembre 2027 e quelli dell'Allegato I al 2 agosto 2028 dal Regolamento (UE) 2026/1744.

Esiste in Italia un organismo accreditato per certificare la ISO/IEC 42001?
Sì. ACCREDIA ha disciplinato lo schema con la circolare tecnica DC n. 08/2026 del 19 febbraio 2026: l'accreditamento è rilasciato secondo la UNI CEI EN ISO/IEC 17021-1 integrata dalla ISO/IEC 42006. Prima di firmare, chiedete all'organismo l'accreditamento per questo schema specifico.

Che cosa succede se mi certifico con un organismo non accreditato?
Ottenete un documento che vale quanto la reputazione di chi lo firma: non è coperto dagli accordi internazionali di mutuo riconoscimento e nelle gare, dove i capitolati chiedono quasi sempre organismi accreditati, rischia di non essere accettato.

Serve la ISO/IEC 27001 prima della ISO/IEC 42001?
Non è un prerequisito formale: la 42001 si certifica anche da sola. Nella pratica però chi ha già la 27001 parte con buona parte dell'impianto pronto e il progetto costa e dura sensibilmente meno.

La ISO/IEC 23894 si può certificare?
No. È una guida alla gestione del rischio per l'IA: non contiene requisiti e non esiste una certificazione a fronte di essa. Si usa come metodo dentro il sistema di gestione della 42001. Lo stesso vale per la ISO/IEC 42005 sulla valutazione d'impatto.

Quanto costa la certificazione ISO/IEC 42001?
Dipende da quanti sistemi di IA entrano nel campo di applicazione, dal ruolo in cui li usate, dalle sedi, dagli addetti e dalle certificazioni già attive. Non pubblichiamo importi perché sarebbero inventati: il metodo con cui si forma il prezzo è su quanto costa certificarsi, e un numero sul vostro caso lo potete chiedere dalla pagina richiedi un preventivo.

Esistono contributi o finanziamenti per certificarsi?
Sì, capita spesso che bandi camerali, regionali o nazionali coprano una parte rilevante della spesa, e la ricerca la facciamo noi gratuitamente prima di partire. L'esito però dipende dal bando e dalla graduatoria: nessuno può garantirvi che il contributo arrivi.

Esistono contributi per certificarsi?
Sì, e cambiano di continuo: bandi camerali, misure regionali, contributi di filiera e agevolazioni nazionali si aprono e si chiudono nell’arco di poche settimane. Li cerchiamo noi all’inizio del percorso e vi diciamo che cosa è aperto, che cosa copre e con quali scadenze. Una regola vale quasi sempre: i bandi non ammettono spese avviate prima della domanda, quindi la verifica va fatta prima di firmare, non dopo.